Lekarne Ljubljana žrtev izsiljevalskega virusa

c3p0 je 12. avg 2019 ob 14:48 izjavil:

SeMiNeSanja je 12. avg 2019 ob 10:23 izjavil:

Seveda.... ker se ljudje držijo pregovora "Strela ne udari 2x na isto mesto"

Če je šlo za namensko ciljan napad, lahko strela udari še precejkrat na isto mesto, ob pogoju da niso vsega ustrezno počistili. Dandanes ne moreš zaupat niti navadnemu disku več.

Utk je 12. avg 2019 ob 14:32 izjavil:

Tako je. Če je kdo tako prepričan vase, naj tu napiše kater sistem pa sigurno nikoli ne bo nikoli padel...pa naj nekdo poskrbi še, da bo ta izziv prišel do pravih ljudi.

SeMiNeSanja je 12. avg 2019 ob 15:54 izjavil:

Problem namreč ni zgolj v tem, kaj 'tvoja rešitev' zmore. Bistveni problem je v tem, kako je skonfigurirana.
Če kasneje točno veš, kako je ves proces incidenta potekal, ja lahko biti pameten in reči 'samo maile s tako končnico bi moral blokirat' ali kaj podobnega.
Toda kdor je kdaj delal na tem področju, točno ve, kako je včasih težko dopovedat strankam, da naj dovolijo blokado npr. *.docm in podobnih datotek, za katere se ve, da so v preteklosti že bile izvor okužb. Stranke ti znajo natveziti sto in en razlog zakaj potrebujejo raznorazne tvegane vrste datotek. Ko pa na koncu pride do kakšnga dejanskega problema, pa kvazi nihče ni zahteval, da se morajo prepuščati take datoteke.

AngelOfDeath je 12. avg 2019 ob 21:38 izjavil:

Utk je 12. avg 2019 ob 14:32 izjavil:

Tako je. Če je kdo tako prepričan vase, naj tu napiše kater sistem pa sigurno nikoli ne bo nikoli padel...pa naj nekdo poskrbi še, da bo ta izziv prišel do pravih ljudi.

Zanimivo da so vsi backupi, ki sem jih jaz nastavil preživeli tudi če so napadalci imeli večtedenske dostope do sistema.
Saj ne da se niso trudili uničiti backupa. Samo so imeli malo premalo znanja da bi ga uspešno.

Po drugi strani pa je zanimivo to da vsepovsod drugje z tem niso imeli prevelikih težav in so lepo uničili backupe...

Zgleda da sem edini v Sloveniji z 100% uspehom svojih backupov :)

Trenutno nisem v Si in me ne zanimajo vaša podjetja, ker v 30min najdem več napak na backupih, kot jih vi poznate :)

Invictus je 13. avg 2019 ob 07:52 izjavil:

SeMiNeSanja je 12. avg 2019 ob 15:54 izjavil:

Poleg Lekarne je ta incident posredno prizadel tudi podjetje, ki jim vzdržuje omrežje in sisteme, svetuje pri varnosti, upravlja varnostne rešitve in nadzira dogajanje na omrežju.

Mislim, da je prav, da se izpostavi tukaj tudi podjetje.

Dostikrat je cena visoka, delo pa slabo opravljeno, ker naročnik preprosto vsega ne ve in niti ne more skontrolirati.

Bi rekel, da je marsikdo tukaj delal v takih svetovalnih firmah in ve, da se naredi absolutni minimum, da se zadosti nizkemu znanju strank, čeprav je denarja dovolj.

Dostikrat je pa problem tudi v prodajalcih, ki prodajajo ZF tehnologijo, ki jo sami niti ne razumejo. In postavijo nenormalno kratke roke. Inženirji pa pač naredimo, kot je v teh kratkih rokih možno . Ker prodajalcu ne moreš dopovedati, da je s svojim bluzenjem že pokuril 70% časovnega poola za projekt.

crniangeo je 13. avg 2019 ob 10:01 izjavil:

načeloma kar drži tisto kar govoriš. žal prodajajo tudi neumnosti, ker so narobe razumeli kaj neka stvar realno počne.
primeR: prodaja se storitev najema nekega fw, ki sploh nima možnosti integracije preverjanja prometa. pri prodaji se obljublja nadzor prometa in zaščita pred virusi in crvi.

SeMiNeSanja je 13. avg 2019 ob 10:11 izjavil:

c3p0 je 13. avg 2019 ob 06:54 izjavil:

Še enkrat, admin nima kaj klikat priponk, ali za to uporabljat isti PC kot za ostale zadeve. Če to naredi Jože iz nabave, pa se zadeva ne more širit naprej, kaj šele na strežnike. Pri 0day ali namenskih napadih, tudi drag level7 appliance ne bo nič rešil, le zdrava pamet bo.

Googlaj "privilege escalation", pa boš videl, da kompromitirani uporabnik ne rabi biti admin.

TUDI marsikateri 0day danes tehnologija razkrije in to celo pravočasno. In to kar ti imenuješ "level7 appliance" sploh ni tako draga reč. Pravzaprav drobiž v primerjavi z enim samim dnevom izpada.